SmartDPO
ro

Acordul de prelucrare a datelor (art. 28 GDPR)

Prezentul acord se încheie între clientul care folosește Platforma SmartDPO („Operatorul”) și Webspring Design SRL, CUI RO35845652, nr. de ordine în Registrul Comerțului J2016000888355, cu sediul în Str. Lazăr Gheorghe nr. 24, biroul 5, et. 11, ap. 64, Timișoara, jud. Timiș, email privacy@smartdpo.ro („Persoana împuternicită”) și face parte din Termenii și condițiile Platformei.

1. Obiect, durată, natura și scopul prelucrării

Persoana împuternicită găzduiește și prelucrează datele introduse de Operator în Platformă (de exemplu: registrul prelucrărilor, datele persoanelor care trimit cereri, incidente, evidența instruirilor, membrii echipei), exclusiv pentru furnizarea serviciului, pe durata contractului.

2. Categorii de persoane vizate și de date

Utilizatorii Operatorului, persoanele vizate care își exercită drepturile, angajații instruiți, persoanele de contact ale furnizorilor și orice alte date pe care Operatorul alege să le introducă.

3. Obligațiile Persoanei împuternicite

  1. prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv cele date prin utilizarea Platformei și în ceea ce privește transferurile în afara SEE, cu excepția cazului în care dreptul Uniunii sau dreptul intern îi impune o altă prelucrare; în acest caz informează Operatorul înainte de prelucrare, dacă legea nu interzice această informare (art. 28 alin. (3) lit. a) GDPR);
  2. informează imediat Operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor;
  3. asigură confidențialitatea personalului cu acces la date;
  4. aplică măsurile de securitate de la art. 32 GDPR: găzduire în România, criptarea conexiunilor (TLS), parole stocate cu algoritmi de hashing moderni, separarea datelor pe clienți, jurnal de audit, copii de siguranță criptate, acces administrativ restrâns;
  5. folosește sub-împuterniciții publicați, pe care Operatorul îi autorizează prin acceptarea acestui acord (autorizare generală, art. 28 alin. (2) GDPR), și notifică Operatorul cu 30 de zile înainte de orice schimbare, Operatorul putând obiecta și, în acest caz, înceta contractul. Impune fiecărui sub-împuternicit, prin contract, aceleași obligații privind protecția datelor și rămâne pe deplin răspunzătoare față de Operator pentru îndeplinirea obligațiilor acestuia (art. 28 alin. (4) GDPR);
  6. asistă Operatorul în soluționarea cererilor persoanelor vizate și în respectarea art. 32–36 GDPR;
  7. notifică Operatorul fără întârzieri nejustificate, în cel mult 48 de ore, despre orice încălcare a securității datelor acestuia;
  8. la încetarea contractului, șterge datele în cel mult 30 de zile, după ce Operatorul a avut posibilitatea să le exporte, cu excepția celor pe care legea impune să fie păstrate;
  9. pune la dispoziție informațiile necesare demonstrării conformității și permite audituri rezonabile, cu notificare prealabilă.

4. Transferuri

Datele sunt găzduite și prelucrate în Spațiul Economic European. Singura excepție la data acestui acord este furnizorul de email Mailgun (pagina Sub-împuterniciți): emailurile sunt trimise și păstrate în UE, dar pot fi accesate din SUA pentru operare și suport, pe baza clauzelor contractuale standard adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei. Un alt transfer în afara SEE poate apărea doar printr-un sub-împuternicit nou, după notificarea și dreptul de obiecție de la pct. 3, și numai cu garanțiile de la capitolul V GDPR (de regulă clauzele contractuale standard adoptate prin Decizia de punere în aplicare (UE) 2021/914 a Comisiei).

5. Conturile de consultant

Când contul aparține unui consultant sau unui DPO extern care administrează în Platformă firmele clienților săi, fiecare firmă client este operator pentru datele din spațiul ei, consultantul prelucrează aceste date în numele clientului (art. 28 GDPR), iar Persoana împuternicită acționează ca sub-împuternicit al consultantului. În acest caz, consultantul:

  1. garantează că a obținut autorizarea scrisă a fiecărui client pentru folosirea Platformei (art. 28 alin. (2) GDPR) și că i-a pus la dispoziție prezentul acord și lista sub-împuterniciților;
  2. impune clientului, prin contractul dintre ei, obligații privind protecția datelor cel puțin echivalente cu cele din prezentul acord (art. 28 alin. (4) GDPR);
  3. transmite clientului, fără întârziere, notificările primite de la Persoana împuternicită privind incidentele de securitate și schimbările de sub-împuterniciți care îl privesc.

Activitatea consultantului ca responsabil cu protecția datelor (consiliere și monitorizare, art. 37–39 GDPR) nu este o prelucrare efectuată de Persoana împuternicită și rămâne guvernată de contractul dintre consultant și client.